Difference between revisions of "Talk:OWASP Review BSI IT-Grundschutz Baustein Webanwendungen"

Latest revision as of 15:49, 11 June 2012

Since it's about a review of a document in German, all the discussions will be done in German :-)

Diskussionen rund um den Review des "IT-Grundschutzbausteins Webanwendungen" finden hier statt, sinnvollerweise auf Deutsch :-)

Vorschlag für Kriterien, die an unser Review angelegt werden sollten ((Kai))

• Der Baustein soll alle wichtigen Themen der Entwicklung sicherer

Webanwendungen enthalten.

• Der Baustein soll die verschiedenen Phasen der Software-Entwicklung

vollständig abdecken.

• Der Baustein soll zwischen verbindlichen, prüfbaren Vorgaben und

unverbindlichen Empfehlungen sprachlich sauber unterscheiden (hier spielt mein Auditorenblick eine Rolle). Vor allem soll der Baustein verbindliche Anforderungen auch tatsächlich stellen. Alle verbindlichen Anforderungen müssen unabhängig von der jeweiligen Umgebung auch umsetzbar sein, d.h. sie müssen entsprechend generisch sein.

• Die Maßnahmen sollen nur in (begründbaren) Ausnahmen zu Empfehlungen

von OWASP im Widerspruch stehen.

• Die Maßnahmen sollen verständlich und anwendbar sein.

Rechtschreibung und Formulierungen (Dirk, Ralf, Kai)

Web-Anwendung kann man so schreiben, klingt aber für ein IT-Werk altbacken. Das könnte man machen, wenn man der Meinung ist, dass Web immer noch ein Fremdwort und kein Lehnwort (=in der deutschen Sprache angekommen) ist. Auf Basis der Interpretation des Duden wurde für die Übersetzung der OWASP Top 10 die einheitliche Schreibweise Webanwendung verwendet.

Nur tauchen auch Webserver oder Webseiten in den Katalogen und auch in diesem Baustein auf. Eins geht nur.

Empfehlung: Besonders in diesem Baustein nur noch die Schreibweise Webanwendung verwenden. Ggf. gesamte Katalogen vorsichtig per Suchen und Ersetzen dies sprachlich gerade ziehen

Weiterhin: "JavaScript" (CamelCase) sollte überall konsistent verwendet werden; nicht zwischendrin "Javascript" nutzen.

Allgemein spricht die Mehrheit der deutschsprachigen Community (vgl. z.B. OWASP Top Ten oder Google-Suchtreffer) von "reflektiertem XSS", nicht "reflexives XSS". Es sollte überall "reflektiertes XSS" statt "reflexives XSS" genutzt werden,

Bei der Erwähnung von SSL oder TLS sollte eine einheitliche Schreibweise verwendet werden. Vorzugsweise SSL/TLS.

Verbindlichkeit

Im Baustein wird fast durchgängig sollte für Maßnahmen verwendet. Im Sinne der Prüfbarkeit im Rahmen von Zertifizierungsaudits ist in dem Baustein schärfer zwischen Maßnahmen mit empfehlendem und verbindlichem Charakter auch sprachlich zu unterscheiden.

"Hilfsmittel" (Markus, Matthias)

Ich würde das Script zur Vermeidung von Clickjacking wrappen und nicht als losen Skript-block in den Text einbinden - einfach schlechter Programmierstiel diese losen Blöcke. Der Zugriff auf das Body-Element mit byTagName-Array[0] ist auch nicht wirklich gut. Ich halte Zugriffe über das DOM (klassisch), bei ID bzw. XPATH für besser.

(Matthias) Verwunderlich finde ich aber, dass der Autor zum Einen zwar von der Verwendung von JavaScript vollstaendig abraet, zum Anderen aber eben solches als Best-Practice-Ansatz fuer Click Jacking empfiehlt.

SQL-Injection Characters: die Pipe fehlt hier zur Textkonatenierung + / - haben auch eine Bedeutung bei JOINs.

(Matthias) Special Character bzw. DB Escaping ist schon recht DB-spezifisch (siehe SQL Prevention Cheat sheet). Wozu werden die hier ueberhaupt aufgefuehrt? Um Eingebafilterung nach pot. SQL Injections durchzufuheren, oder um eine eigene Escaping-Funktion zu schreiben? Raus damit!

(Kai) Die Priorisierung der Hilfsmittel finde ich nicht passend. Ich würde mir an dieser Stelle eher Verweise auf hilfreiche Werkzeuge und auch geprüfte Bibliotheken erwarten (z. B. ESAPI, Cheat-Sheets).

"Goldene Regeln" (Matthias, Kai)

Hier meine Anmerkungen zu diesem Dokument:

1. Fehlende Punkte

• Korrektur der Ursache (Root Cause) von Schwachstellen statt Verhinderung deren Ausnutzung
• Bezug auf Minimierung der Angriffsfläche und Least-Privilege-Prinzip
• Bezug auf Defense-in-Depth-Prinzip
• Verwendung von getesteten Security APIs (z.B. OWASP ESAPI, Kryptografischer Schutz) statt selbstentwickelter Funktionen
• Bezug auf Externalisierung von Sicherheitsfunktionen, sowie deklarative vor programmatischer Sicherheit.
• Verallgemeinerung von Prinzipien statt zu konkreter Beispiele in den goldenen Regeln

2. Begriff "Web-Anwendung"

Würde ich generell durch "Webanwendung" ersetzen (s.o.).

3. Einleitung ("Web-Anwendungen stellen Funktionalität zur Verfügung, ...")

Wozu dient dieser Satz? Ist die Einleitung wirklich notwendig - und wenn ja, warum ist sie dann nicht ausführlicher.

4. "Die Architektur der Web-Anwendung ist im Sicherheitskonzept zu dokumentieren....."

Ich fände es sinnvoller, wenn hier von der "Sicherheitsarchitektur" gesprochen wird, welche etwa neben den sicherheitsrelevanten Datenflüssen, sensible Komponenten, Entry Points, Akteure architekturelle Security Controls wie Authentisierung, Kryptographie und natürlich die Trust Boundaries beinhaltet.

5. "Bei Web-Anwendungen handelt es sich häufig um spezielle Eigenentwicklungen...."

Erstens würde ich hier den geläufigen Begriff "Individualsoftware" verwenden. Zweitens würde ich statt bestimmte SDLC-Phasen vorzugeben (die Begriffe "Softwareverteilung" und "Integration" sind mir bei Webanwendungen bisher noch nicht so häufig untergekommen), besser von der Notwendigkeit sprechen, Sicherheit in allen Entwicklungsphasen zu berücksichtigen, also eines SDLs.

(Kai): Die Gliederung von OpenSAMM könnte als sinnvolle Orientierung dienen.

6. "Alle Ein- und Ausgaben der Web-Anwendung müssen in eine normalisierte Form überführt werden...."

Normalisierung ist für mich nicht gleich Kanonsierung, auch wenn beide Begriffe häufig als synonym verwendet werden. Der Unterschied wird in der API-Beschreibung der ESAPI erklärt. Die Normalisierungs-Funktion ist allerdings schon vor einiger Zeit aus der ESAPI rausgeflogen. Die generelle Kanonisierung von Ausgaben halte ich dazu für nicht sinnvoll.

Zweitens, finde ich den weiteren Text zwar grundsätzlich formal korrekt, aber so allgemein, dass dieser glaube ich niemandem so richtig etwas bringt.

Besser fände ich hier Ein- von Ausgabevalidierung grundsätzlich voneinander abzugrenzen. Etwa was ich per Eingabevalidierung (Längenprüfung, Casting, etc. per Whitelisting) und was mit Ausgebavalidierung (Enkodierung, Escaping, Parametrisierung) machen muss und kann.

Eingabedaten können technisch zudem auch Werte eingelesener Property-Dateien sein. Muss ich die auch validieren? Ist das dann noch Grundschutz?

(Kai): Alle Daten aus nicht-vertrauenswürdigen Quellen sind zu prüfen. Hierzu kann bpsw. auch Local-Storage gehören. Die Vertrauenswürdigkeit sollte sich aus der Dokumentation von Vertrauensgrenzen ergeben.

7. "Für den Zugriff auf sensitive Funktionen oder Informationen muss die Web-Anwendung eine wirksame Authentisierung und Sitzungsverwaltung unterstützen. Die Eigenschaften der Sitzungs-ID müssen so gewählt werden, dass die Sitzung ausreichend geschützt ist. ...."

Besser fände ich "eine Authentisierung, die über eine dem Schutzbedarf der Anwendung angemessene Stärke verfügt."

Eigentlich geht es doch mehr um den Schutz der Sitzungs-ID, da diese gewöhnlich im Verlauf einer Sitzung den Client authentisiert. Oder den Schutz des Zugriffs auf eine Sitzung.

Zudem fehlt hier meiner Meinung nach der Hinweis auf die bevorzugte Verwendung getesteter Standardkomponenten.

(Kai): Es sollte deutlich werden, dass eine Session nur eine Krücke ist, um eine erfolgreiche Authentisierung und Authentifizierung über ein zustandsloses Protokoll (HTTP) zu erhalten.

8. "Die Web-Anwendung sollte die zu übermittelnden Daten schützen."

Dies würde ich nur auf sensible Daten beziehen. Zusätzlich zu HTTPS würde ich hier schreiben, dass sensible Daten generell nicht in der URL übertragen werden dürfen.

9. "Die Preisgabe interner Informationen (z.B. Kommentare, Fehlermeldungen)"

Hier würde ich eher schreiben "(In Kommentaren, Fehlermeldungen, HTTP Headern, etc.)"

10. "Fehler müssen so behandelt werden, ... müssen Fehler bei der Autorisierung zu einer Verweigerung beim Zugriff auf die angeforderte Ressource führen."

Sprachlich: "Die Webanwendung muss sich stets in einem sicheren Zustand befinden. Beispielsweise müssen Fehler bei der Autorisierung zu einer Verweigerung des Zugriffs führen (Default-Deny-Strategie)."

11. "Die Logging-Funktionen der Web-Anwendung müssen aufgetretene Ereignisse derart protokollieren, dass sicherheitskritische Vorfälle nachvollzogen werden können."

Hier würde hier eher von "allen sicherheitsrelevanten Ereignissen" sprechen.

Weiterhin sollten insbesondere beim Logging der Datenschutz berücksichtigt werden, personenbezogene Daten also nach Möglichkeit nicht oder nur anonymisiert in technischen Logdateien protokolliert werden.

(Kai): Oder es muss durch die Art der Protokollierung sichergestellt sein, dass ausschließlich ein datenschutzkonformer Zugriff auf die Log-Informationen möglich ist.

12. "Alle Sicherheitsmechanismen (z.B. Authentisierung und Zugriffskontrolle) sind serverseitig zu implementieren und können nicht durch clientseitige Mechanismen ersetzt werden."

Die Aussage ist so nicht korrekt. Darüber hatten wir bereits bei der ASVS mehrfach diskutiert.

Überall dort wo der Client angegriffen wird, also etwa bei RIAs (Stichwort DOM-Based XSS) müssen wir Security Controls clientseitig implementieren. Es gibt mittlerweile deshalb auch eine Portierung der ESAPI auf Javascript. Überall dort wo der Server oder Hintegrundsysteme angegriffen werden, ist die Aussage aber natürlich zutreffend.

"Gefährdungen" (Markus, Dennis, .... <Dein Name>)

Generell

Reference auf RFCs fehlen.

B.5.XX Web-Anwendungen

1. Erster Absatz - Letzter Satz

--Wieso werden hier nur HTML/XML Doks und Oberflächen angesprochen? Was ist der Unterschied zwischen einem HTML-Dok und einer Oberfläche? Was ist mit Flash, Javascript, etc.? Was ist mit WebSockets?

2. Stichpunkt "Protokollierung"

Sicherheits relevant ist ein sehr dehnbarer Begriff - Eine bessere Formulierung könnte sein: Zur Rekonstruktion von Nutzerhandlungen nötige Ereignisse (positve & negative) müssen protokolliert werden . . .

3. Absatz

"Abgrenzung des Bausteins": "Die spez. Sicherheitsanforderungen an Web-Services werden in diesem Baustein nicht betrachtet" --> Wie so nicht? Was ist das Backend von einer Rest / AJAX-basierenden Webanwendung denn anderes als ein Web-Service? Diesen Satz würde ich entfernen.

4.Vorsätzliche Handlungen -> Web-Spoofing (G.5.87) -- Missverständliche Bezeichnung / Nomenklatur

5. Seite 4 

erste Zeile "Umsetzung": "dafür umzusetztende Komponenten müssen die Webanwendung schützen..." - Hier fehlt mir der Hinweis, dass dieser Schutz verifiziert werden muss.

6 Seite 5

"Umsetzung" - Wir haben CSRF, D(D)os und SQL-Injection aber wo ist XSS?

7 Seite 7

"Die Sicherheitsfunktion wird ausschließlich clientseitig..." --> Warum muss der Angreifer überhaupt einen Browser umkonfigurieren? Was ist mit Proxies, Scripts, etc.? Ich würde das reduzieren darauf, dass rein Webbrowser-basierende Schutzfunktionen einfach umgangen werden können.

8 Seite 8

Die angesprochenen Punkte hinterlassen den Eindruck nicht vollständig zu sein: Mir fehlen Punkte wie "Outsourcing", "KnowHow der Entwickler", Tooling, Framework-Auswahl, etc.

9 Seite 9

Eigentlich möchte der Autor hier über Datenschutz sprechen. Abgesehen von den letzten drei Zeilen geht es aber nur um "User tracking" - Wo ist der Rest der Datenschutzproblematik? Warum der Fokuss auf Tracking? Mir ist das zu einseitig.

tbd.

Wortwahl

Ich stosse innerhalb der Texte immer wieder an die Worten Hintergrundsystem und Sicherheitskontext. Hintergrundsystem: besseres Synonym? Sicherheitskontext: nur weil es in den Texten um Sicherheit geht muss nicht an jeder Stelle immer wieder das Wort _Sicherheits_kontext eingebaut werden. Bsp: "Erlangt ein Angreifer Kenntnis von einer solchen gültigen, aber nicht mehr genutzten SessionID, so kann er die Web-Anwendung im Sicherheitskontext des nicht abgemeldeten Benutzers weiter verwenden." (G 5,WA12 Unzureichendes Session-Management von Web-Anwendungen) Verbesserungsansansatz: ... so kann er die Web-Anwendung anstelle des eigentlichen Besitzers weiterhin verwenden.

(Kai) B 5.XX Beschreibung

Seite 1: Die vorgestellten Sicherheitskomponenten sind eher Sicherheitsmechanismen

Seite 1: Es sollte heißen: vor dem Zugriff auf geschützte Ressourcen und Funktionen

Seite 1: Ausgabedaten sollte nicht nur gefiltert sondern auch vor allem transformiert werden (output encoding)

Seite 2: Wo genau werden AJAX-Anwendungen einsortiert, die auch XML oder JSON austauschen?

Seite 2: Was ist die Botschaft des Satzes: "Aufgrund der Offenheit einer Web-Service..." - unklar!

Seite 3: Beschaffung: Was ist mit Framerworks etc. (siehe Editorial der SSN 05/2012)?

"G 2.WA01 Mangelhafte Auswahl oder Konzeption von Web-Anwendungen" (Matthias)

Nachdem ich mir diese Gefährdung durchgelesen hatte, fehlten mir ehrlich gesagt etwas die Worte. Nicht nur, dass hier fast jeder zweite Satz entweder falsch ist bzw. massive Fehler enthält oder ich diesen schlicht nicht verstehe, ist der ganze Text sprachlich wirklich enorm verbesserungsfähig.

Na gut, ich konzentriere mich mal auf die fachlichen Punkte:

1. Security Controls

Werden mal mit "Schutzmechanismen", mal mit "Sicherheitskomponenten" und dann wieder als "Sicherheitsfunktionen" bezeichnet. Hier macht eine einheitliche Benennung sicherlich Sinn und ist weniger verwirrend.

2. "Eine Web-Anwendung ist in der Regel ein verteiltes, komplexes System bestehend aus unterschiedlichen Komponenten (z. B. Webserver, Applikationsserver, Hintergrundsysteme)"

Eine Webanwendung besteht sicher nicht aus einem Webserver- oder anderer infrastruktureller Komponenten, sondern ist Software welches diese nutzt. (Kai) Und das noch auf verschiedenen Ebenen - hierzu zählt natürlich auch Anwendungslogik, die beispielsweise als API in einer Datenbank zur Verfügung gestellt wird.

3. "Bei individuell entwickelten Web-Anwendungen sind im Allgemeinen die Frameworks, Komponenten und Schnittstellen im Rahmen der Konzeption auszuwählen und deren Einbindung und Absicherung zu betrachten....Im Gegensatz dazu ist bei der Konzeption von Web-Anwendungen auf Basis von Standardsoftware insbesondere auf die Auswahl der Software und die Konfiguration der Teilkomponenten zu achten"

Wir unterscheiden im Rahmen von Webanwendungen eigentlich Free or Opensource Software (FOSS bzw. FLOSS), Standardsoftware und Individualsoftware voneinander. Wir unterscheiden nicht Frameworks von Standardsoftware. Frameworks können Teil von Standardsoftware sein, wie etwa bei SharePoint, SAP, etc, oder aber FOSS, wie etwa Spring. Die ganzen Absätze machen für mich daher keinen Sinn.

4. "Eine Sicherheitsfunktion (z. B. Authentisierung, Autorisierung) wird nicht an einer Stelle umgesetzt und verwendet, sondern ist mehrfach in der Web- Anwendung realisiert. Wird diese Sicherheitsfunktion an den verschiedenen Stellen unterschiedlich umgesetzt, führt dies zu einem uneinheitlichen Sicherheitsniveau."

Natürlich ist die mehrfache Verwendung bestimmter Security Controls, beispielsweise von Zugriffskontrollen (Complete-Mediation) oder Validierung (Robustheit) erstrebenswert. Was der Autor hier wahrscheinlich meinte, war die Notwendigkeit diese zu Kapseln bzw. zu Externalisieren. Das bezieht sich im übrigen nicht nur auf die Controls selbst, sondern auch auf ihre Parametrisierung (etwa. über Konfigdateien / XACML).

Wichtiger wäre in diesem Zusammenhang zudem die fehlende Berücksichtigung bestimmter Security Controls.

5. "Auswahl von Web-Anwendungen auf Basis von Standardsoftware"

Was will der Satz sagen? Ich wähle Standardsoftware aus, aber doch keine Webanwendungen. Oder heißt das, ich kaufe eine existierende Anwendung ein (Webanwendung!=Individualsoftware)?

6. "Das ausgewählte Produkt verfügt nicht über die ausreichende Sicherheitsfunktionalität, ... Daher müssen die notwendigen Schutzmechanismen nachträglich hinzugefügt werden, wodurch zusätzliche Aufwände entstehen."

Das ist etwas sehr positiv formuliert. Tatsächlich können fehlende Security Controls in zugekaufter Software (insb. Standardsoftware) in der Realität häufig gar nicht hinzugefügt werden oder nur perimetrisch (z.B. per WAF oder Access Gateway).

7. "Die Hintergrundsysteme werden unzureichend abgesichert und dadurch ist die Datenbank der Web-Anwendung aus dem Internet erreichbar."

Gehören fehlende Netzwerksegmentierung bzw. Firewallregeln wirklich in diesen Kontext? Das ist doch eigentlich Grundschutz der Infrastruktur, oder?

8. "Aufgrund schwacher Parameter in der Konfiguration des Frameworks zum Session-Management werden unsichere SessionIDs erzeugt."

Was sind "schwache" Parameter?

Welches Framework erlaubt unsichere SessionIDs durch eine "schwache" Konfiguration zu erzeugen?

9. "Wird die Konfiguration des Web-Browsers durch einen Angreifer manipuliert, können die clientseitig umgesetzten"

Manipuliert ein Angreifer die Konfguration seines Webbroswers, wenn er einen MITM-Proxy konfiguriert?

Wie bereits bei den "Goldenen Regeln" angemerkt, gilt auch hier, das manche Security Controls auch clientseitig umgesetzt werden dürfen (etwa. zur Verhinderung von Dom-Based XSS).

"G 5.WA10 Fehler in der Web-Anwendungslogik" (Dennis, Matthias)

1. "Damit kann aufgrund der Prüfreihenfolge ein hoher Ressourcenverbrauch provoziert werden, der für Denial-of-Service-Angriffe ausgenutzt werden kann."

Meiner Meinung nach passt in diesem Kontext die Attacke DoS nicht ganz. Falls die nachfolgende Funktionalität wegen der langen Ausführungszeit der Filterkomponente übersprungen wird bzw. ein Fehler auftritt würde dies meiner Ansicht in die Thematik Anwendungslogik passen. Eine DoS-Attacke kann hingegen anhand jeder Funktion durchgeführt werden.

(Matthias) Jo stimmt, aber ich stimme mit der Aussage eigentlich schon ueberein, auch wenn diese zugegeben etwas ungluecklich formuliert ist. Es geht hier ja darum, rechenintensive Pruefungen/Filterung moeglichst zu vermeiden bzw. zu reduzieren. Aus diesem Grund machen wir ja auch bei der AV-Pruefung zunaechst Blacklist-Checks und erst am Ende rechenintensive statistische oder verhaltensbezogene Pruefungen.

"G 5.WA11 Umgehung clientseitig umgesetzter Sicherheitsfunktionen von Web-Anwendungen" (Dennis)

1. "Ein Angreifer kann diese ausnutzen, um beispielsweise unbefugt Befehle an Hintergrundsysteme der Web-Anwendung zu übermittlen (z.B. in Form von Datenbankanfragen bei einer SQL-Injection)."

Umformulierung des Inhalts der Klammer. Hatte beim ersten Lesen für mich den Anschein, als ob ein Formular genutzt werden könnte welches den Nutzer aufforder eine SQLI einzugeben. Ich denke "Datenbankanfrage zwecks Ausführung einer SQL-Injection" würde besser passen.

G 2.WA02 Mängel bei der Entwicklung und der Erweiterung von Web-Anwendungen (Matthias)

Allgemein ist der obere Teil ok, die aufgezählten "Auswirkungen von fehlenden Vorgaben" verstehe ich jedoch nicht. Wo ist etwa der Bezug von Barrierefreiheit auf die Anwendungssicherheit?

Mein Vorschlag, um diese Punkte etwa sinnvoll umzubauen:

• "Fehlendes Vorgehensmodell": Bezug auf fehlende Berücksichtigung von Sicherheit im SDLC. Statt eines SDLCs selbst sollte hier besser auf die Notwendigkeit eines Secure Development Lifecycle (SDL) hingewiesen werden
• "Fehlende Programmierrichtlinien" => Besser wäre hier "Fehlende Sicherheitsrichtlinien in der Programmierung" also "Secure Coding Guidelines"
• "Testfälle" => "Sicherheitsrelevante Testfälle" (z.B. Security Unit Tests).
• "Barrierefreiheit": Warum nicht an dieser Stelle die Auswirkungen von Sicherheitsfunktionen auf die Bedienbarkeit, etwa anhand von CAPTCHAS erläutern?

G 2.WA03 Unzureichender Schutz personenbezogener Daten bei Web-Anwendungen (Matthias)

Der Titel dieses Bausteines heißt "Schutz personenbezogener Daten", die genannten Beispiele beziehen sich bis auf den letzten jedoch auf die missbräuchliche (oder zumindest problematische) Nutzung aus Sicht des Datenschutzes.

Die Punkt 1-3 sollten daher besser entfallen und z.B. durch die Folgenden ersetzt werden:

• Unsichere Einbindung von sozialen Netzwerken (Bezug nehmen auf den Like-Button bei Facebook)
• Unsichere Einbindung von Werbeinhalten
• Unsichere Übertragung und Caching
• Unsichere Protokollierung
• Ungenügender Zugriffsschutz
• Verstoß des Minimalprinzips bzw. der Zweckgebundenheit (welche Daten werden wirklich benötigt)

Auch wäre es ggf.sinnvoll zumindest einen Verweis auf das BDSG zu machen.

(Kai) Ist unzureichender Schutz an dieser Stelle eine Gefährdung? Ist die Gefährdung nicht eher der Missbrauch

G 4.33 Unzureichende oder fehlende Authentisierung (Matthias)

1. Erster Absatz

"Wenn Authentisierungsmechanismen fehlen oder zu schlecht sind"

"schlecht" sollte vlt besser durch "unzureichend" ersetzt werden.

2. "Sicherheitslücken entstehen bei... der Benutzerauthentisierung"

Hier findet nur ein Bezug auf "Passwörter" statt. Der Bezug auf die fehlerhaft implementierte oder dem Schutzbedarf ungenügende Schutzmechanismen (z.B. keine 2-Faktor-Authentisierung bei hochsensiblen Daten) fehlt. Auch auf das komplette fehlen von Authentisierungs-Controls wird hier nicht eingegangen

(Kai) Ich würde hier auch einen Verweis auf stärkere Authentifzierungsmechanismen erwarten - besonders SSL/TLS Client-Zertifiakte.

3. "Sicherheitslücken entstehen bei... der Komponentenauthentisierung"

Wie bei 2., wird auch hier wieder nur auf Passwörter, nicht jedoch auf das fehlen von Controls selbst eingegangen. An dieser Stelle fehlt auch ein Hinweis auf die Notwendigkeit dedizierter Benutzeraccounts.

4. "Sicherheitslücken entstehen bei... der Wahl des Verfahrens"

Statt untauglich würde ich auch hier von "dem Schutzbedarf der Daten nicht angemessen" sprechen, eigentlich gehört das für mich aber in die obigen Punkte.

5. Serverseitige Authentisierung fehlt

Auch der Server (bzw. die Anwendung selbst) kann sich fehlerhaft oder ungenügend beim Benutzer authentsieren, etwa über DNS, SSL-Zertifikate, etc.

G 4.WA04 Unzureichende Validierung von Ein- und Ausgabedaten bei Web-Anwendungen (Matthias)

1. "Unzureichende Validierung von Eingabedaten"

Die genannten Beispiele sind genau keine korrekten Beispiele für diesen Fall, sondern betreffen die Ausgabevalidierung bzw. Enkodierung. Typische Fehler der Eingabevalidierung ist eine Manipulierbarkeit der Business Logik.

2. "Unzureichende Validierung von Ausgabedaten"

Hier geht es zentral um die Verhinderung von Interpreter Injection, also serverseitig (z.B. SQL oder LDAP Injection) oder clientseitig (XSS, JSON Injection, etc.). Statt "können die Ausgaben Schadcode" enthalten würde ich hier eher davon Sprechen, dass ein solcher Interpreteraufruf manipuliert werden kann (was dann z.B. zur Einschleusung von Schadcode genutzt werden kann).

3. "Die Suchfunktion der Web-Anwendung verwendet die Eingaben der Benutzer ungefiltert"

Mit ungenügender "Filterung" hat SQL Injection nichts zu tun, eigentlich geht es hierbei darum, dass SQL-Anfragen dynamisch mit unvalidierten Eingebedaten zusammengebaut (konkateniert) werden.

4. "Ungefilterter HTML-Code in Kommentar-Funktion"

Hier fehlt der Bezug auf persistentes XSS, das hier sicherlich zentral ist.

G 4.WA05 Fehlende oder mangelhafte Fehlerbehandlung durch Web-Anwendungen (Tobias, Matthias)

Abschnitt "Unsichere Fehlerbehandlung"

Die G adressiert "Unsichere Fehlerbehandlung", der Abschnitt die "Unsichere Fehlerbehandlung in Sicherheitskomponenten". Entsprechend sollte der fettgedruckte Teil angepasst werden.

"fehlende SQL-Parameter,"

Sollte besser "Fehlermeldungen bei ungültigen SQL-Abfragen" lauten.

"Auch scheinbar unkritische Informationen, wie die Meldung ob (..)"

Korrekt, allerdings nicht nachvollziehbar, wenn das Problem der Leser nicht schon bekannt ist. Daher erweitern nach " Rahmen von Brute-Force-Angriffen ausgenutzt werden." mit ". Bei Brute-Force-Angriffen wäre in diesem Fall klar, dass der Benutzername gültig ist."

(Matthias): Stimme dem Obigen auch zu, ausserdem:

(Matthias)

Sprachlich: "kann dies unvorhersehbare Auswirkungen haben und den Betrieb der Web-Anwendung bis zur Unerreichbarkeit einschränken."

"Unerreichbarkeit" ist etas merkwuerdig ausgedrueckt, besser ware hier von der "Verfuegbarkeit" zu sprechen. Im Uebrigen fehlt vollstaendig der Bezug auf die Verfuegbarkeit als Primaeres Schutzziel der Informationssicherheit.

(Matthias)

"Clientseitige Fehlerbehandlung"

Das stimmt soweit, das generelle Problem ist jedoch genereller, naehmlich die clientseitige Abbildung sicherheitsrelaventer Logik (in diesem Fall die Fehlerbehandlung)

G 4.WA06 Unzureichende Nachvollziehbarkeit von sicherheitsrelevanten Ereignissen bei Web-Anwendungen (Matthias)

1. Erster Absatz

"Die Behebung einer Schwachstelle ist dann nicht oder nur unter erschwerten Bedingungen möglich."

Hier würde ich ergänzen: "...und Angriffe auf die Anwendungen können ggf. nicht erkannt oder nachvollzogen werden".

2. "Beispiele"

Kommulierbarkeit

(Kai) Ist hier Korrelation gemeint?

Hier fehlt auch ein Bezug auf die Kommulierbarkeit von SIcherheitsereignissen, dass diese also auch von solchen anderer Systeme in Verbindung gesetzt werden können

3. "Beispiele"

Gerichtsverwertbarkeit

Auch die Möglichkeit zur Gerichtsverwertbarkeit (etwa durch eindeutigen Zeitstempel) und manipulationssicherer Speicherung, würde ich an dieser Stelle unbedingt erwähnen.

G 4.WA07 Offenlegung von Informationen bei Web-Anwendungen (Matthias)

1. Titel

Hier würde ggf. "Offenlegung vertraulicher Informationen" sicher besser passen als "Offenlegung von Informationen".

2. Beispiellink

Ein Beispiellink (mit und ohne Token) würde sicher die Verständlichkeit dieser Schwachstelle verbessern.

3. Erster Absatz

"Wenn demzufolge Informationen unnötig offengelegt werden, steigt die Wahrscheinlichkeit eines erfolgreichen Angriffs."

Interne Informationen auszublenden ist eine Härtungsmaßnahme, deren Anzeige erhöht aber nicht zwangsläufig die Wahrscheinlichkeit eines erfolgreichen Angriffs. Ich würde diesen Satz weglassen.

4. Fehlende Punkte

• Ein Hinweis auf HTTP Header wäre hier sicher erwähnenswert.
• Weiterhin bzgl. der Anzeige von Traces und ein Verweis auf den Entsprechenden Baustein zur Fehlerbehandlung

G 5.131 SQL-Injection (Ralf)

Erster Absatz, Zeile 4

ist mir zu eingeschränkt. Mein Vorschlag: "zusätzliche SQL-Anweisungen" ersetzten durch "geänderte oder zusätzliche SQL-Anweisungen"

Erster Absatz, letzter Satz

Bei Regen wird die Straße "möglicherweise" nass. Man sollte imho den Konjunktiv diskutieren oder die genaue Definition von "Sicherheitsmechanismus". Ist das Design der ursprünglichen Query an sich schon ein Sicherheitsmechanismus, oder die ursprüngliche Einschränkung auf einen geeigneten Primärschlüssel? Welche "Mechanismen" können denn trotz SQLI noch "möglicherweise" greifen? Eine "WAF"? Ist das ein Mechanismus der Anwendung selbst oder nur vorgelagert? Kann es in einer Anwendung überhaupt mechanische Teile für einen Mechanismus geben? Ich breche das jetzt mal ab... ;-)

Auflistung, zweiter Spiegelstrich

"Manipulation von Daten," klingt für mich zu harmlos. Ich würde expliziter auf CRUD eingehen: "Erzeugen, Auslesen, Verändern oder Löschen von Daten,"

Auflistung, letzter Spiegelstrich

"Zugriff auf weitere Server." Geht es hier um einzelne Requests (wie z.B. ein HTTP-Get oder eine DNS-Abfrage), dann bin ich dabei. Geht es um mehr, so ist das aber imho nur eine indirekte Folge z.B. durch die Installation einer Shell auf der DB-Maschine, die dann weiterführend genutzt werden kann (ja, wir sind immer noch *nur* bei SQLI).

Vorletzter Absatz

"wird dabei durch eine unzureichende Validierung [...] ermöglicht" ist eben nur die halbe Wahrheit. Der Kern einer (jeden) Injection liegt in der dynamischen Query: Unvalidierter Input des Benutzers wird direkt genutzt, um ihn an eine dynamischen Query/Abfrage/Kommando-String zu kleben, der dann in dieser manipulierten Form auf einen Interpreter / Parser trifft. Ich schlage vor: "wird dabei durch [...] ermöglicht ([...]), die in dieser Form direkt in eine dynamische Query eingebaut werden." Vielleicht sollte man aber den ganzen Satz umbauen, und mit dem Problem der dynamisch konkatenierten Abfrage beginnen.

(Kai) Zustimmung: Insbesondere weil bei der Nutzung von typsicher parametrisierten Datenbankanfragen (Stored Procedures) eine Validierung entfallen kann.

G 5.WA08 Unberechtigter Zugriff auf oder Manipulation von Daten bei Web-Anwendungen (Markus)

1. Generell sollte der Zugriff auf LogFiles stark eingeschränkt werden.

2. Der zu protokollierende Inhalt sollte wohl überlegt sein, dass ein Troubleshooting möglich ist, aber persönliche / zu schützende Daten nicht protokolliert werden.

3. Cookies

Die muss man nicht umbedingt auslesen, man kann sie einfach wieder verwenden - dieser Punkt wird nicht in Erwägung gezogen. Warum sollte ich mir die Mühe machen, etwas zu entziffern, was ich in einer Spoofing / Replay-Attacke verwenden kann?

G 5.WA09 Missbrauch einer Web-Anwendung durch automatisierte Nutzung (Markus)

1. Hier findet keine Unterscheidung zwischen einer automatischen Nutzung der GUI (Client) und REST bzw. SOAP Schnittstellen statt. Für mich (persönlich) liegt der Fokus auf der GUI. Hier wünsche ich mir ein paar Sätze zum automat. Missbrauch von Schnittstellen.

G 5.WA10 Fehler in der Logik von Web-Anwendungen (Ralf)

Letztes Beispiel, Kurzbezeichnung rechts

Kann ich nicht lesen "ÄndrXXXX", hier ist das Layout zerschossen. Ist das nur bei meinem Reader so?

(Kai) Nein - bei mir auch.

G 5.WA11 Umgehung clientseitig umgesetzter Sicherheitsfunktionen von Web-Anwendungen (Ralf)

Generelle Überlegung zu Clients

Die Seite des Clients gehört immer vollständig dem Angreifer, am Ende des Tages geht ein Request an die Anwendung, und dieser Request ist erst mal "Evil Input". Clientseitige Validierung ist manchmal nett, um Last vom Server zu nehmen (und natürlich muss min. die gleiche Validierung nochmal komplett serverseitig statt finden!). Aber wie sieht's mit Request-Headern aus, z.B. wenn sich die Anwendung an einer Stelle auf den User-Agent verlässt? Ist das nur "dämlich programmiert" oder ist das schon eine "clientseitige Sicherheitsfunktion"? Gesetzte Parameter auf Client-Seite, die mehr oder weniger statisch und nicht mit der Serverseite "verschränkt" sind, sollten imho nie in den Stand einer "Sicherheitsfunktion" gehoben werden, das kann nur daneben gehen (verschränkt wäre in meiner Sprechweise z.B. eine Anti-CSRF-Token, wenn es pro Request unique, geheim, zeitlich und im use case beschränkt ist).

G 5.WA12Unzureichendes Session-Management von Web-Anwendungen (Markus)

1. Den letzten Satz des ersten Absatzes würde ich umformulieren. Der Angreifer muss sich nicht identifizieren. Er kann die Anwendung als ein anderer User bedienen. Credentials sind nicht so wichtig hier. Warum bäuchte man einen Schlüssel, wenn das Tor zum Schloss offen steht?

2. Der Autor erwähnt nicht, dass eine SessionID, sobald sie nicht mit dem Login - bzw. zu bestimmten Zeitpunkten geändert wird einfach wieder verwendet werden kann. Das "Erraten" von SessionIds ist in diesem Zusammenhang etwas anderes.

G 5.WA13 Cross-Site Scripting (XSS) (Ralf)

Die Schreibweise für JS ist inkonsistent: "Javascript" vs. "JavaScript". Ich bin klar für CamelCase.

Weiterhin bevorzuge ich die Schreibweise "reflektiertes XSS" anstelle von "reflexives XSS". Letzteres ist imho eine schlechte Übertragung aus dem Englischen. In Quotes gesucht hat die Schreibweise "reflektiert" auch 20 Mal mehr Treffer. Und, last but not least: In den Top Ten steht auch "reflektiert" :-)

(Kai) Bei der Übersetzung der Top 10 haben wir darüber diskutiert und uns bewusst für "reflektiert" entschieden. "reflexiv" bedeutet sich (auf das Subjekt) zurückbeziehend; rückbezüglich was dem Problem von reflected XSS nicht gerecht wird. Mir scheint die einzige Quelle für reflexives XSS die deutsche Wikipedia zu sein - die in meinen Augen an dieser Stelle schlicht falsch übersetzt.

Es werden drei Klassen [...] unterschieden

Bitte ändern in "die gebräuchlichste Bezeichnung zuerst, die Alternative in Klammern", d.h.:

- Perstistent (beständig)

- Reflektiert (nicht-persistent)

- DOM-basiert (lokal)

Erstes Beispiel, persistentes XSS, Mitte

"[...] und hat somit Zugriff auf die clientseitig im Cookie gespeicherte SessionID des Benutzers." Ist nicht vollständig korrekt. Es muss heißen: "[...] und hat somit Zugriff auf die clientseitig im Cookie gespeicherte SessionID des Benutzers, wenn dieses Session-Cookie (fehlerhaft) ohne HttpOnly-Flag gesetzt wurde."

Nachtrag zum Wikipedia-Artikel

Der im Entwurf des Bausteins zum Thema XSS zu findente Content wurde von http://de.wikipedia.org/wiki/Cross-Site-Scripting übernommen, inklusive der darin enthaltenen Fehler. In aller Deutlichkeit: Es heißt "reflektiertes XSS" und eben *nicht* reflexives XSS, das ist falsch und wird immer wieder falsch zitiert / kopiert / geklaut. Der "Redakteur", der den Wikipedia-Artikel "verwaltet", sieht das noch nicht ein, daher gibt es aktuelle eine Diskussion: http://de.wikipedia.org/wiki/Diskussion:Cross-Site-Scripting#Reflektiertes_XSS . Ich hoffe, der Artikel entspricht bald den Tatsachen, sobald bei den Wiki-Leuten der Erkenntnisprozess einsetzt.

G 5.WA14 Cross-Site Request Forgery (CSRF, XSRF) (Matthias)

1. Erster Absatz

"Können Funktionen einer Web-Anwendung ohne weitere Überprüfung der Authentizität des HTTP-Requests (z.B. durch Tokens in versteckten Formularfeldern) genutzt werden"

Statt "Funktionen" würde ich besser von "schreibenden Aktionen" sprechen, dann macht der Satz mehr Sinn.

2. Dritter Absatz

"Im Gegensatz zu XSS (siehe ... ) ist das Angriffsziel nicht die Information auf dem Client (z. B. in Cookies),"

Dieser (Halb-)Satz macht keinen Sinn, auch weil es bei XSS nicht nur im Informationen auf dem Cient geht. Vorschlag: "ist das Angriffsziel nicht die Ausführung von Skriptcode, sondern von unbefugten, schreibenden Aktionen im Kontext des angemeldeten Benutzers."

3. Session Riding

Session Riding ist quasi nur ein anderer Begriff für CSRF. Die einzige Form von CSRF die mir bekannt ist, sind Angriffe mit Standard-Passwörtern auf HTTP-Basic-Auth geschützten Ressourcen.

Im Grunde ist Session Riding aber nur ein Synonym für CSRF. Der Absatz ist daher auch nur eine Wiederholung der obigen Beschreibung.

4. Zum Beispiel

"Durch einen präparierten Link auf einer Webseite wird die Änderung des Zugangspasswortes des Routers eingeleitet."

Etwas ungüngstig ausgedrückt. Besser wäre: "wird eine Anfrage zur Änderung des Zugangspasswortes an den Router gesendet. Hierbei sendet der Browser automatisch den Session Cookie mit, worüber die Webanwendung die Authentizität der Anfrage verifiziert und die Änderung durchführt."

G 5.WA15 Umgehung der Autorisierung bei Web-Anwendungen (Markus)

1. NullBytes - Das OS ignoriert nicht das NullByte. Das können wir so nicht stehen lassen.

2. Warum eine Datei runterladen, wenn ich sie auch überschreiben kann? Das fehlt mir hier 

)

2. Forced Browsing, so alt es auch sein mag, man findet es immer wieder.

Meiner Meinung nach sind Beispiel ungeschickt gewählt. Umgehung von Authorisierungskomponenten hat auch direkt eine Verbindung zum Sessionmanagement - davon findet man aber nichts in diesem Absatz.

G 5.WA16 Einbindung von fremden Daten und Schadcode bei Web-Anwendungen (Markus)

1. Sprachlich fallen die letzten beiden Sätze des ersten Absatz unangenehm auf. Das sollten wir umformulieren, damit es sich leichter liest

Bsp.: zu erkennen und der Angreifer kann die Vertrauensstellung des Nutzers....

2. Einbinden von Schadecode - Hier fehlt mir die Referenz zu XSS/XSRF.

3. Der Schadecode scheint sich immer nur gegen den User zu richten - was ist mit DDOS über injizierten SchadeCode?

4. Der mögliche Missbrauch der Rechenressourcen des Nutzers (Browser-Rootkits, etc.) wird nicht erwähnt.

5. Missbrauch der Uploadfunktion -> Ok, man die Systeme aber auch einfach so lange mit nutzlosen Daten füllen, bis sie nicht mehr nutzbar sind - DOS. Der Punkt fehlt hier.

5 Uploadfunktionen -> Malicious Scripts -> gezielter Missbrauch der verletzbaren Server, um andere Systeme auszuschalten, zu brechen. Das wird ebenfalls verschwiegen.

G 5.WA17 Injection-Angriffe (Ralf)

Grundsätzliches Vorgehen

ersetze "Interpreter" mit "Parser oder Interpreter"

G 5.WA18 Clickjacking (Matthias)

Hier stellt sich mir nur die allgemeine Frage, ob Clickjacking, bzw. der Schutz davor tatsächlich einem Grundschutz zuzurechnen ist. Persönlich würde ich dies nicht tun. (Markus) - Das Beispiel ist nicht gut gewählt. Ein PayPerClick ist zu harmlos. SANS verwendet eine FlashApp mit Screenshot und Soundaufzeichnung. Das verdeutlicht die Dimension besser.

M 2.WA02 Dokumentation der Architektur von Web-Anwendungen (Matthias)

Verantwortlich für die Umsetzung

Hier wäre auch die Nennung des "Architekten" sinnvoll

Fehlende Bestandteile der Dokumentation

• Schutzbedarf des Systems sowie der verarbeiteten Daten
• Schützenswerte Daten und Funktionen (Assets)
• Betriebliche Anforderungen an die Sicherheit bzw. eingesetzte Plattform
• Dokumentierte Konfigurationseinstellungen
• BIA (RTO, RPO)
• Schnittstellen
• Trust Boundaries
• Akteure (bzw. Trust Level)
• Sicherheitsannahmen
• Geltende Compliance-Anforderungen (BDSG, PCI DSS, etc.)

(Kai)

• Datenfluss

Benutzermanagement

Wenn damit das Identity Management gemeint ist, gehört das Dokumentiert, ist aber keine Sicherheitsfunktion. Oder ist hiermit das Rollen- und Berechtigungskonzept gemeint? Grenzt sich aus meiner Sicht schwer mit dem Thema Authentisierung ab.

Prüffragen

Hier fehlt etwas in Bezug auf Sicherheitsanforderungen. Beispiel: "Werden Sicherheitsanforderungen an den Betrieb während der Entwicklung abgestimmt und dokumentiert"

M 2.WA12 Entwicklung und Erweiterung von Anwendungen (Markus)

"Es sollte darauf geachtet werden, dass Sicherheitsanforderungen

vollständig durch Sicherheitsmechanismen erfüllt und zur Erstellung von Testfällen festgehalten werden." --> Bessere Formulierung würde aussagen, dass die Sicherheitsanforderungen durch Testfälle verifiziert werden. "(z. B. durch Kommentare im Quelltext). Somit ist der Quelltext zu einem" --> Das ist kein empfehlenswerter Programmierstil! Raus mit diesem Kommentar

"Zum Schutz vor dem Verlust bereits entwickelter und verworfener

Lösungen sowie zu Dokumentationszwecken sollte die Historie der Änderungen festgehalten werden (z. B. durch ein Revisionssystem)." --> Auch diesen Absatz können wir streichen - Kein professioneller Programmierer arbeitet ohne Versionierugssystem.

"Bei Web-Anwendung sollten die Webseiten auf Konformität zu dem

verwendeten Standard (z. B. HTML-Standard) getestet werden. Dadurch können unvorgesehene Seiteneffekte aufgrund einer Fehlinterpretation seitens der Browser vermieden werden." --> Könnte man noch um "Die Software ist in möglichst vielen Browsern zu testen" erweitern.

Generell geht der Autor leider nicht auf die Rollen & Rechte Verteilung ein. Mir fehlt der Hinweis, das es eine personelle Trennung zwischen Entwicklung, Test und Betrieb geben muss.

Zum Thema Wartung / Betrieb --> Hier wird keine Aussage getroffen bezüglich Log_Files. Dieses Thema kann kritische Auswirkungen haben, Bsp.

logging ganzer HTTP-Requests im LogLevel=Debug.

"Produktspezifische Sicherheitsfunkionalität" - Dieser Absatz ist gefährlich - der Angreifer ist nicht zur Verwendung dies Zielbrowsers gezwungen. Deshalb können Browser-spez. Sicherheitsfunktionen nur als Add-ON gewertet werden.

"Festlegung der Entwicklungsumgebung" - Dieser Absatz geht nicht auf die zu verwendenden Testdaten ein. Der Hinweis, dass Live-Daten / Kundendaten nichts in Test- & Entwicklungsumgebungen zu suchen haben fehlt!!!

M 2.WA24 Web-Tracking (Matthias)

Letzter Absatz

"Falls eine Auswertung von Nutzerdaten, insbesondere personenbezogener Daten, .. "

Hier sollte denke ich besser von personenbeziehbaren Daten gesprochen Werten. Dies betrifft etwa die Zuordnung von Surfverhalten zu einer bestimmten Person. Dies sollte stets nach den Prinzipien Datensparsamkeit und Datenvermeidung, Erforderlichkeit, sowie Zweckbindung erfolgen. Ist Webtracking nicht personenbeziehbar ist dies kein Thema für den Datenschutz.

(Kai) Handelt es sich hierbei um eine Maßnahme, die für IT-Grundschutz relevant ist? Das ist doch eher eine Datenschutz als eine Sicherheitsmaßnahme.

M 4.WA04 Authentisierung bei Web- Anwendungen (Matthias)

Verantwortlich fuer Umsetzung

sollte in erster Linie beim Architekturen und in zweiter beim Entwickler liegen

Vermischung von Authentisierung und Session Management

Bei diesem Baustein findet eine ziemlich große Vermischung von Anforderung an die Authentisierung und das erst in "M 4.WA06 Session-Management bei Web- Anwendungen" behandelte Session Management statt (Beispiel: "Remember-Me-Funktion"). Beide Themen sollten sinnvollerweise getrennt voneinander zu betrachten und aufeinander zu beziehen.

Verwendung von Frameworks

Die Anforderung ist schon ein wenig eingeschränkt. Besser passt hier denke ich die "Abbildung der Authentisierung über Standardkomponenten (Bibliotheken oder Frameworks)".

Remember-Me-Funktion

Siehe oben, gehört zum Session Management. Das ließt sich im übrigen so, als ob eine Webanwendung Credentials auf dem Client abhängt.

Grenzwerte für gescheiterte Anmeldeversuche

Diese Empfehlung ist allgemein falsch, da sie sehr von der betrachteten Anwendung abhängt. Besser wäre hier allgemein von Mechanismen zur Verhinderung von automatisierten Angriffen zu sprechen (Anti-Automatisierung).

Etwa umsetzbar durch

• Sperrung nach x Anmeldeversuchen
• Throttling
• Captchas
• Sicherheitsfragen

Das allgemeine Sperren kann leicht für das gezielte Aussperren von Benutzern (User Lockout) verwendet werden. Was etwa bei Trading-Anwendungen nicht funktioniert.

Automatisiertes Zurücksetzen von Authentisierungsdaten

Würde ich besser als "Passwort-Reset" bezeichnen.

Weiterhin fehlt hier der Hinweis, dass statt ein automatisiertes Zurücksetzen, ein Mechanismus zu empfehlen ist, bei dem über ein hinterlegtes Sicherheitsmerkmal (Handy-Nummer oder E-Mail-Adresse) vom Benutzer zunächst eine Verifikation durchgeführt wird. Beispielsweise durch einen erhaltenen Link. Erst dann darf eine Änderung des Passwortes durch den Benutzer erfolgen.

Registrierung nicht behandelt

Es existiert hier kein Punkt, der die sichere Implementierung von Benutzerregistrierungen behandelt.

Verweis auf Externalisierung fehlt.

Statt die Authentisierung selbst durchzuführen kann eine Anwendung hierzu auf eine externe Komponente (Beispiel: SiteMinder oder Kerberos) zurückgreifen.

Verweis auf Behandlung von Credentials fehlt

Auch wenn das in "M 4.WA15 Schutz vertraulicher Daten bei Web- Anwendungen" ausführlich behandelt wird, sollte in diesem Baustein bereits auf den angemessenen Schutz von Authentisierungsdaten bei Übertragung und Speicherung hingewiesen werden.

(Kai) Der Verweis auf 2-Faktor-Authentifzierung kommt mir hier zu kurz. Gerade SSL/TLS bietet mit Client-Zertifikaten einen hilfreichen Sicherheitsmechanismus.

(Kai) Mir fehlt hier auch bei der Behandlung von Passwörtern, dass diese nicht direkt oder symmetrisch verschlüsselt gespeichert werden sollen. Es ist auch bei der Behandlung vergessener Passwörter darauf zu verzichten, diese im Klartext an den Benutzer zu schicken.

M 4.WA05 Umfassende Ein- und Ausgabevalidierung bei Web-Anwedungen (Markus)

"Ablehnung der Daten im

Fehlerfall" --> Hier könnte man noch auf Tar-Pits eingehen - nur ein Vorschlag.

(Kai) Es sollte deutlich werden, dass Validierung von Daten häufig über die reine Prüfung mit Mechanismen wie Regulären Ausdrücken nicht erschlagen werden kann sondern deutlich komplexere Mechanismen erfordert.

M 4.WA06 Session-Management bei Web-Anwendungen (Markus, Matthias)

"Übertragung der SessionID mittels GETRequest" --> Hier fehlt der Hinweis, dass die Lebensdauer dieser SessionIds kurz/kürzer sein muss, als im Falle der Speicherung im Cookie.

(Matthias) Die Anmerkung verstehe ich ehrlich gesagt ueberhaupt nicht, zumal das SM haeufig transparent zwischen Cookies und URL Rewriting wechselt. Wozu soll das gut sein? Wie soll das geschehen? Idealerweise sollte die Session ID niemals in die URL geschrieben werden, das sollte eigentlich genuegen.

"Verschlüsselte Übertragung von SessionIDs" --> Hier fehlt der Hinweis auf den Beast-Exploit. TLS Version > 1.0 verwenden!

(Matthias) Solange hier nicht auf eine explizite TLS Version eingegangen wird, sollte meiner grossen Ueberzeugung nach hier auch auf keine Exploits etc. eingagen werden, das gehoert an andere Stelle.

(Matthias) Weiterhin

Es dürfen keine extern bekannten oder erratbaren Daten (z. B. IP-Adresse, Uhrzeit) in die Berechnung der SessionID einfließen.

Die Aussage finde ich etwas problematisch, wichtiger ist, dass die Entropie ausreichend hoch ist. Haeufig werden etwa IPs von Load Balancern in die Session ID hineingeschrieben.

- Domain (z. B. webapp.domain.tld),
- Path (z. B. /webapp/),
- Secure und
- HttpOnly.Beschränkte Sitzungsdauer

Das sieht so aus, als ob es empfehlenswert ist, das Domain-Tag zu verwenden, das ist es sicherlich nicht. Was macht hier der Hinweis "Beschraenke Sizuungsdauer"?

M 4.WA07 Fehlerbehandlung durch Web-Anwendungen (Markus, Matthias)

Konsistenter / Inkonsistener Zustand einer Webanwendung und der daraus resultierende Datenverlust

Hier fehlen mir die Punkte: DOS, Priv.Escalation, CodeExecution.

(Matthias) Vorschlag "und somit der Schutz der Daten" aendern in "und somit ETWA der Schutz der Daten" korrigieren

Vermeidung vertraulicher Informationen in Fehlermeldungen --> Fehlermeldungen sollten ebenfalls eine Systeminformationen preisgeben (Softwareversion, Patchlevel, etc.)

(Matthias) Ich glaube hier ist es wichtig zu unterscheiden, wo die Fehlermeldung ausgegeben bzw. wem diese angezeigt wird. Das wird in diesem Modul garnicht so recht unterscheiden. Der Autor meint glaube ich, wie Fehlermeldungen durch die Webanwendung angezeigt werden. In dem Fall hat er recht. Du meinst glaube ich eher, wie Fehlermeldungen protokolliert werden. In dem Fall hast du natuerlich auch recht. Das in dem Text verwendete Wort "ausgeben" ist nicht unbedingt eindeutig und sollte genauer spezifiziert werden.

Abbruch des Vorgangs nach Auftreten eines Fehlers --> TarPits scheinen dem Autor umbekannt zu sein 

)

(Matthias) Stimmt, wobei sich diese ja auch nur auf einen sehr bestimmten Fehlertypen beziehen. Generell laesst sich so etwas unterscheiden, wenn man Fehler-Domains erstellt. Beispiel: Technisch-Unerwartet = Abbruch, Technisch-Erwartet = Fehlermeldug/Tar Pit, etc.

"Werden Fehler möglichst von der gleichen Komponente behandelt, in der

der Fehler aufgetreten ist?" --> Das "möglichst" sollten wir streichen. (Matthias) Hm, der Aussage kann ich nicht ganz zustimmen, bzw. es haengt von dem Begriff "Komponente" ab. Eine Anwendungskomponente kann serwohl bewusst bestimmte Exceptions werfen, die von der einbindenden Komponente behandelt werden muessen.

M 4.WA08 Schutz vor automatisierter Nutzung von Web-Anwendungen (Markus, Matthias)

(Kai) Ich finde die verallgemeinerte Prämisse schon falsch. Es sollte aber klar gestellt werden, ob und in welchem Maße automatische Zugriffe erlaubt und erwartet sind.

"Brute-Force-

Angriffe (z. B. Erraten von Zugangsdaten) und Enumeration-Angriffe (z. B. automatisiertes Ermitteln von gültigen Login-Namen)" -- die Beispiele sind identisch - besser Beispiele suchen, z.b. URL-Enumeration

(Matthias) Das sehe ich anders. Brute-Forcing bezieht auf Passwoerter und Enumeration auf Benutzernamen, etwa durchs hochzaehlen. Auch wenn ich zustimmen muss, dass die nicht ganz gluecklich gewaehlt wurden. Stann "Erraten von Zugangsdaten" wuerde ich besser von "Erraten von Passwoertern" sprechen. Oder wie gesagt gleich auch auf andere Beispiele (etwa Object ID Enumeration) beziehen.

M 4.WA09 Protokollierung sicherheitsrelevanter Ereignisse von Web-Anwendungen (Markus)

1. Zu protokollierende Merkmale

Abhängig von der Komponente sollte / könnte auch die SourceIP mit gelogged werden. Das ist bei DOS-Attacken hilfreich.

2. Zu protokollierende Merkmale

Aufgetretene Fehler -> Hier sind das System (Rechner in einem Cluster / einer Kette) sowie der Softwarestand von entscheidender Bedeutung.

3. "Erkannte Manipulationsversuche" - gute Idee, aber das ist doch eigentlich ein Fischen im trüben - meint der Autor damit Anomalien (Protokoll, Inhalt, Häufigkeit --> IDS?)

4. Referenzen auf eine SessionId (nicht die SessionId selbst), auf einen User etc. sind sehr hilfreich, wenn es darum geht, das Verhalten eines Nutzers in einer hoch modularen Anwendung (innerhalb eines Clusters/Cloud) zu verfolgen - das fehlt hier.

5. Logrotation und Verschlüsselung der LOGFiles werden nicht besprochen.a

M 4.WA11 Sichere Konfiguration von Web-Anwendungen (Markus, Matthias)

"Sicherer Umgang mit TLS/SSL" -- Hier fehlt der Hinweis, dass TLS-1.0 gebrochen ist (Kai) und was genau das bedeutet

"Zeichenkodierungskonfiguration" -- Ein Whitelisting abhängig von der Encodierung wäre ein weiterer Vorschlag

"Restriktive Dateisystemberechtigungen" -- auch wenn es ein klassiker ist - der AS sollte ebenfalls mit von einem eingeschränkten Nutzer gestartet werden und nicht als root

Administration Consolen

zur Ergänzen: Wenn diese nicht benötigit, sollten derartige Applikationen nicht deployed werden, unabhängig von möglichen Zugangsbeschränkungen.

(Matthias) Sorry, meiner Meinung nach hat die Bewertung von Kryptoverfahren hier abslut nichts zu suchen.Stattdessen sollte hier auf den entsprechenden Empfehlung des BSI verwiesen werden, auch wenn dieses Dokument derzeit noch etwas outdated zu sein scheint.

(Kai) Hier könnte man auf die BNetzA verweisen Übersicht der BNetzA

M 4.WA13 Kontrolliertes Einbinden von Daten und Inhalten bei Web-Anwendungen (Markus)

Datei-Upload

Bei einem Upload werden Dateien durchaus in TEMP-Verzeichnissen gesammelt und danach weiterverarbeitet. Diese TEMP-Verzeichnisse sind im Rahmen einer Sicherheitsanalyse zu betrachten -> Möglicher (unbefugter) Zugriff auf weitere Uploads

Upload komprimierter Dateien / großer Dateien birgt die Gefahr von DOS Angriffen

Upload von Dateien kann bei weiterem Parsing zu Speicherengpässen führen --> DOS-Angriffe auf Thread-Local etc.

M 4.WA14Restriktive Herausgabe sicherheitsrelevanter Informationen bei Web-Anwendungen (Markus, Matthias)

OK - Keine Anmerkungen von mir.

(Matthias) Von mir schon;)

(Matthias) Vermeidung von Kommentaren in ausgelieferten Webseiten

Das ist leider total falsch, wir brauchen haeufig Komentare, aus Kompatibilitaetsgruenden. So wird etwa der JavaScript-Block haeufig auskommentiert.

Wurde stattessen besser von sicherheitsrelevanten Kommentaren sprechen und als Massnahme generell Entwicklerkommentare ueber Sprachkonstruktre (etwa JSP) durchzufuehren.

(Matthias) Löschen nicht benötigter Dateien

Hier wurde ich ggf. Dateien von Versionisierungstools (etwa Subversion) erwaehnen, das sehen wir schon recht haeufig.

Statt Dateien einfach nur zu loeschen (was in der Praxis haeufig nicht so einfach ist) bietet es sich zudem an, den Zugriff auf bestimmte Dateien oder Dateitypen generell zu sperren, etwa mittels ACL im Apache.

(Matthias) Gibt die Web-Anwendung ausschließlich neutrale Fehlermeldungen aus und sind diese im Quelltext identisch? {E

C}

Persoenlich verstehe ich das nicht. Wieseo neutrale Fehlermeldung? Das macht fuer mich nur beim Login Sin. Hierzu existiert in dem Text auch keinerlei Bezug. Ich wuerde das daher besser entfernen und im Rahmen der Fehlerbehandlung diskutieren. Mindestens sollte hier jedoch besser von "sicherheitsunbedenklichen Fehlermeldungen" oder so gesprochen werden.

(Kai) Fehlermeldungen sollten sich angemessen an den jeweiligen Adressaten wenden: Userbezogen im Browser, Detailliert für Admins im Log, ggf. über einen Identifier korreliert.

(Matthias) Wird der Referrer bei Verlassen der Web-Anwendung (z. B. durch einen Link auf eine externe Seite) gefiltert?

Diesen Punkt sehe ich als sehr fallabhengig an. Es kann fuer seiten durchaus wuenschenswert sein, dass der Referer weitergegeben wird. Der Referer sollte natuerlich keine sensiblen Informationen enthalten, was ja an anderer Stelle (etwa Session Management) vorgegeben wird bzw. gegeben werden sollte.

M 4.WA15 Schutz vertraulicher Daten bei Web-Anwendungen (Markus, Matthias)

Sichere kryptographische Algorithmen

Hier fehlt mir eine Liste der aktuelle als sicher geltenden Verfahren.

(Matthias) Am Besten Referenz auf https://www.bsi.bund.de/ContentBSI/Publikationen/TechnischeRichtlinien/tr02102/index_htm.html

(Kai) s.o. Verweis auf BNetzA

Schlüssel

Das die Schlüssel bestimmten Formaten entsprechen müssen ist ok - aber das Schlüsselmanagement wird gar nicht besprochen?

(Kai) Siehe Baustein 1.7 Kryptokonzept

Schutz der Daten im Browsercache

Skripte und Browserplugins können ebenfalls auf den Browsercache zugreifen - diese werden hier nicht erwähnt.

(Matthias) Weiterhin entsprechen die vorgeschlagenen HTTP Headern nicht dem Best Practice:

Cache-control: no-cache, no-store
Pragma: no-cache
Expires: -1

(Matthias) Die Empfehlung hinsichtlich des manuellen Leerens des Browsercaches sollte wenn dann nur bei Anwendungen mit sehr hohem Schutzbedarf in Erwaegung gezogen werden. Wichtiger waere da schon eher die richtigen Cache-Header zu verwenden. Solche Empfehlungen ihm Rahmen des Grundschutzes aber wirklich nichts zu suchen.

Maskierung von Passwörtern

Dies schützt bei der Eingabe nur vor ShoulderSurfing nicht vor Skripten oder Plugins die diese an andere Server posten.

(Matthias) Das ist voellig korrekt. Aber inwieweit ist die Aussage Passwort-Felder zu verwenden fehlerhaft bzw. hier unzureichend beschrieben?

Sicherung von Zugangsdaten

Zugangsdaten in einer Datei abzulegen - wenn auch ausserhalb des WebRoots ist keine gute Idee.

(Matthias) Es ist sicher nicht die schoenste Variante, es laesst sich aber nunmal in vielen Faellen nicht vermeiden. Deshalb fordert der ASVS hier etwa auch nicht mehr. Fuer den hier angestreben Grundschutz sollte das meiner Meinung nach ausreichen.

Schutz von Quelltexten

Hier würde ich property files mit aufnehmen. der hinweis auf web-inf/classes fehlt - warum?
Bei include-befehlen sind die pfadangaben zu überdenken.

(Matthias) Wuerde property Dateien allgemein den Konfigurationsdateien zuordnen. Der Begriff "Einzubindende Dateien" ist mir allerdings neu

(Matthias) Weiterhin, fehlt ein genereller Bezug auf HTML 5 WebStorage, LSOs etc. Zumindest in abstrakter Form, so dass diese dadurch indirekt addresiert werden. Egal, in dem relevanten Punkt will der Autor meiner Meinung nach nur einige Beispiele nennen, das sollte keinen Anspruch auf Vollsteandigkeit haben muessen.

(Matthias) - Durch dieses Attribut wird die Gültigkeit des Cookies auf die Domäne der Web-Anwendung beschränkt.

Nein, das ist leider total falsch. Das Domain-Attribut stellt eine Aufweichung der Cookie-Gueltigkeit dar und nicht anders herum. Gewoehlich sind Cookies immer Host-Cockies und das sollte auch so bleiben. Die Empfehlung sollte entfernt werden.

M 4.WA16 Zugriffskontrolle bei Web-Anwendungen (Markus)

Zugriffskontrolle via Frameworks

Dieser Punkt (Frameworks) wird nur in einem Satz erwähnt. Es werden keine Bespiele gegeben - Das ist zu wenig.
Es müssen alle Zugriffe geschützt werden. Eine Protokollierung aller Zugriffe mit den nötigen Informationen ist ebenfalls empfehlenswert.

Datei Upload

Die Gefahr eines DOS wird hier nicht erwähnt.

M 4.WA19Verhinderung von Cross-Site Request Forgery (CSRF, XSRF) (Markus, Matthias)

Verantwortliche

Entwickler und Admins!

(Matthias) Korrekt, wobei auch in der Reihenfolge

Anti-CSRF-Token in hidden fields

Das ist keine gute Idee. Ich würde das streichen!

(Matthias) Watt? Anti-CSRF-Tokens in Hidden Fields sind die Standard-Massnahme. Wie denn sonst? Bitte nicht streichen!!!

(Matthias) Die Technik bei der die Session ID als Anti-CSRF-Token verwendet wird, wird als Double-Cookie Submit bezeichnet, das sollte hier referenziert werden.

Umgehung von Schutzmechanismen

Man in the middle hat keinen direkten Bezug zu CSRF! Das würde ich streichen.

(Matthias) Der Hinweis ist korrekt. Wovon der Autor hier spricht ist Session Replay nicht CSRF.

Frameworks

Gute Idee - aber es gibt auch Features in den ApplicationServern die CSRF unterbinden - warum wird das nicht besprochen?

(Matthias) Sehe ich persoenlich nicht so, da CSRF primaer ein Applikations-Fehler ist, und auch in der Applikation und nicht im Environment (AppServer) geloest werden sollte. Auch wenn das manchmal ggf. die einzig machbare Loesung darstellt.

(Matthias) Was generell fehlt, ist ein Hinweis darauf, dass schreibende Requests generell per HTTP Post abgewickelt werden sollten, da HTTP Get keine "Safe Method" (siehe HTTP 1.1, RFC 2616) ist.

M 4.WA20Sicherer Entwurf der Logik von Web-Anwendungen (Markus, Matthias)

Rollbacks

Tritt ein Fehler auf muss die Applikation einen konsistenten Datenstand zurück lassen. Das wird hier nicht erwähnt.

RaceConditions

Fehler in der Geschäftslogik können auch durch zwei gleichzeitige Sessions auf einer Webapplikation auftreten - das wird hier nicht besprochen.

(Matthias) Ehrlich gesagt kann ich nicht ganz nachvollziehen, was der Sichere Entwurf der Logik von Web-Anwendungen mit dem Verzicht auf aktive Inhalte zu tun hat. Unabhaengig davon sollte man solche unsinnigen Aussagen im Jahre 2012 nicht mehr treffen, damit macht man sicht nur laecherlich.

Nichts desto trotz, was hier als "echte" Massnahmen erwaehnt werden sollte sind:

• Verhinderung von Race Conditions, aber nicht nur durch Concurrent Sessions sondern auch durch Singletons (TOCTOU)
• Enforcements von Workflows, etwa durch die Verwendung von State Machines oder Request Tokens (auch bekannt als Site Usage Enforcement)
• Fail Securely (bzw. Verweis)
• Serverseitige Abbildung der Anwendungslogik, zumindest wenn diese sicherheitsrelevant ist

(Kai) Der Verzicht auf aktive Inhalte ist definitiv nicht zeitgemäß. Siehe auch Closing Note OWASP Day 2011. Es ist vielmehr eine Herausforderung, wie angemessen mit den aktiven Inhalten umgegangen werden kann. Einige Punkte: Vertrauenswürdigkeit von Quellen, Versionierung, ...

M 4.WA22 Verhinderung der Blockade von Ressourcen (DoS) bei Web-Anwendungen (Markus, Matthias)

Datenspeicher

Neben dem Datenspeicher sollte auch der RAM-Verbrauch pro Thread der Applikation limitiert werden.

(Matthias) Stimmt, ich wuerde hier sogar allgemein von Ressourcenverbrauch am Beispiel RAM und Datenspeicher, sprechen

Voraggregation von Daten / Caching

Dieser Punkt fehlt: Stark ressourcen belastende Anfragen können auch in Lastarmen Zeiten vorberechnet werden.

(Matthias) Stimmt, koennte noch als Anmerkung bei "Cachen von Anfragen" hinzugefuegt werden

(Matthias) Prueffrage

"Wird ein möglicher Überlauf von Protokolldaten... verhindert"

Ist eine etwas eingeschrankte Sicht. Wurde hier eher von Ueberlauf von Speicherplaz zu Beispiel im Rahmen der Protokollierung sprechen

(Matthias) Durchfuehrung von Lasttests zur Identifikation ressourcenintensiver Operationen

Der Hinweis waere ggf. erwahnenswert

(Matthias) Hinweis auf nicht-angemeldeten Bereich

Das Risiko durch rechenintensive Operationen durch einen DoS betroffen zu sein ist natuerlich fuer gewoehlich um so groesser, wenn diese im anonymen Bereich angeboten wird. Der Hinweis ware ggf. ebenfalls hilfreich.

(Kai) Die Rolle von Anfälligkeit gegen Angriffe wie Slowloris sollte berücksichtigt werden.

M 4.WA25 Verhinderung von Clickjacking (Markus, Matthias)

Ok - das passt soweit.

(Matthias) Stimmt, auch wenn ich "Angreifer" in dem Beispiel eher als "Webseitenbetreiber" beschreiebn wuerde, da er nicht wirklich aktiv einen Angriff durchfuehrt, oder? Bitte nochmal ueber meinen Hinweis aus G 5.WA18 nachdenken: Ist Clickjacking-Schutz tatsaechlich Grundschutz? Ich bin mir da selber nicht so wirklich sicher.

M 5.WA21 Sichere Anbindung von Hintergrundsystemen an Web-Anwendungen (Markus, Matthias)

Verantwortliche

Architekten fehlen. Entwickler müssen die Views umsetzen und die Datasource entsprechend einbinden - die fehlen hier ebenfalls.

DirectorySystem Beispiel

Das DirectorySystem wird in dem angegeben Beispiel zum Single Point of Failure - das wird verschwiegen.

Firewalls

Das sind fachlich-blinde Systeme. Was ist mit WAFs / IDS / IPS etc.?

(Matthias) Stimmt, das hat in diesem Baustein nichts zu suchen

(Matthias) Typische Hintergrundsysteme

Hier fehlt irgendwie "Middleware", die ist denke ich nicht immer Legacy

M 5.WA23 Systemarchitektur einer Web-Anwendung (Markus, Matthias)

Verantwortliche

Auch hier fehlend wieder die Architekten. (Matthias) Stimmt, habe das Dokument mal komplett durchgesucht.Tatsaechlich wird der "Architekt" niemals genannt, das scheint also eher ein grundseatzliches Problem zu sein. Der Administrator hat hier aber nun wirklich nichts zu suchen.

Virtualisierung

Virtualisierung bietet weitere Angriffsvektoren (z.B.: Hypervisor) die eine "Blech"Farm nicht bietet.

(Matthias) Genau, wobei auch der ganze Bereich geshareter Plattformen (z.B. By SharePoint) hier fehlt.

(Kai) Mit Virtualisierung an sich beschäftigt sich ein eigener Baustein.